Protección de datos en la Hermandad

Esta guía es orientativa. No sustituye al asesoramiento jurídico ni a lo que dispongan las normas diocesanas y las reglas de cada corporación.

1. Por qué afecta de lleno a una hermandad

La condición de hermano revela convicciones religiosas. El artículo 9 del Reglamento (UE) 2016/679 (RGPD) incluye esos datos entre las categorías especiales, cuyo tratamiento está prohibido salvo que concurra una de las excepciones que el propio artículo enumera. El censo entero queda, por tanto, sujeto a una protección reforzada.

2. En qué se apoya la Hermandad para tratar los datos

El artículo 9.2.d) del RGPD permite el tratamiento a las entidades sin ánimo de lucro de finalidad religiosa, en el ámbito de sus actividades legítimas, cuando se refiere a sus miembros, a sus antiguos miembros o a personas que mantienen contactos regulares con ellas, y siempre que los datos no se comuniquen fuera de la entidad sin el consentimiento del interesado.

Para lo que excede de la vida ordinaria de la Hermandad —difusión de imágenes, cesión de datos a terceros, comunicaciones ajenas a sus fines— se necesita el consentimiento explícito. Las entidades canónicas deben atender además al Decreto General de la Conferencia Episcopal Española sobre protección de datos de la Iglesia Católica en España (2018).

3. Quién es quién

• Responsable del tratamiento: la Hermandad, representada por su Junta de Gobierno.
• Encargados del tratamiento: quienes tratan datos por cuenta de la Hermandad, como el proveedor del programa de gestión, la gestoría, la imprenta que ensobra el boletín o la empresa de envíos.
• Contrato: con cada encargado debe firmarse un contrato de encargo de tratamiento (artículo 28 del RGPD).

4. Qué hay que decirle al hermano en el alta

La solicitud de alta debe informar de quién trata los datos, para qué, con qué base, cuánto tiempo se conservan, a quién se comunican y cómo se ejercen los derechos (artículo 13 del RGPD). Lo que no sea necesario para la relación con la Hermandad se pide aparte, con casillas separadas y sin marcar: publicación de fotografías, inclusión en grupos de mensajería o envío de información de terceros.

5. Menores

En España un menor puede consentir por sí mismo el tratamiento de sus datos a partir de los 14 años (artículo 7 de la LOPDGDD). Por debajo de esa edad, el consentimiento corresponde a quienes ejercen la patria potestad o la tutela, y conviene conservar la prueba de quién lo prestó.

6. WhatsApp y otros canales de mensajería

• El número de teléfono es un dato personal. Incluir a un hermano en un grupo muestra su número a todos los demás, por lo que requiere su consentimiento.
• Para avisos generales es preferible un canal o una lista de difusión, donde los destinatarios no se ven entre sí.
• Los avisos oficiales deben salir de una cuenta de la Hermandad y no del teléfono personal de un oficial.

7. Listados, tablones y lista de la cofradía

• Se publica sólo lo imprescindible para la finalidad del listado.
• Nunca se publica el nombre junto al DNI completo (disposición adicional séptima de la LOPDGDD).
• La lista de la cofradía se expone en la casa de hermandad o en un área privada tras identificarse. No debe quedar abierta en internet.

8. Censo electoral

El censo se expone para que los hermanos comprueben su inclusión y reclamen. Debe poder consultarse en la sede o en un espacio privado, con los datos mínimos que exijan las reglas y las normas diocesanas, y retirarse cuando termina el plazo. Las candidaturas no deben recibir copia del censo salvo que las normas aplicables lo prevean.

9. Fotografías y redes sociales

La imagen de una persona identificable es un dato personal. La fotografía general de un acto público plantea menos problemas que el primer plano de una persona concreta, que requiere su consentimiento. En el caso de menores se necesita siempre el consentimiento de sus padres o tutores, o el suyo propio a partir de los 14 años.

10. Cuotas, domiciliaciones y donativos

• El IBAN y el mandato de domiciliación se guardan con acceso restringido a Mayordomía.
• La comunicación de donativos a la Agencia Tributaria en el modelo 182 es una obligación legal y no necesita consentimiento.
• La situación de impago de un hermano no se difunde: se trata de forma individual.

11. Derechos del hermano y bajas

El hermano puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La Hermandad debe responder en el plazo de un mes (artículo 12.3 del RGPD). La baja no obliga a destruirlo todo de inmediato: los datos necesarios para atender obligaciones legales se conservan bloqueados durante los plazos correspondientes (artículo 32 de la LOPDGDD).

12. Seguridad, cambio de Junta y brechas

• Cada oficial entra con su propio usuario. Las contraseñas no se comparten y es recomendable la verificación en dos pasos.
• El censo no se envía por correo en hojas de cálculo ni se lleva en memorias USB.
• Cuando cambia la Junta se retiran los accesos de los oficiales salientes y se documenta el traspaso.
• La Hermandad debe llevar un registro de sus actividades de tratamiento (artículo 30 del RGPD), ya que trata categorías especiales de datos.
• Si se pierde o se expone información personal, la brecha se documenta y, cuando supone un riesgo para los afectados, se notifica a la autoridad de control en un máximo de 72 horas (artículo 33 del RGPD).

Lista de comprobación

1. La solicitud de alta incluye la información del artículo 13 y casillas separadas para lo opcional.
2. Hay contrato de encargo con el proveedor del programa, la gestoría y la imprenta.
3. Existe un registro de actividades de tratamiento.
4. Cada oficial tiene su propio usuario y sólo ve lo que corresponde a su cargo.
5. Los consentimientos de menores están firmados por sus padres o tutores.
6. Los avisos por mensajería salen de una cuenta de la Hermandad y no exponen los números.
7. Ningún listado publicado muestra el DNI completo.
8. El censo electoral se consulta en la sede o en un área privada.
9. Hay un procedimiento para responder a los derechos en un mes.
10. Se sabe qué hacer y a quién avisar si se produce una brecha.

Normas citadas: Reglamento (UE) 2016/679 (RGPD), artículos 9, 12, 13, 28, 30 y 33. Ley Orgánica 3/2018 (LOPDGDD), artículos 7 y 32 y disposición adicional séptima. Decreto General de la Conferencia Episcopal Española sobre la protección de datos de la Iglesia Católica en España (2018).

Elaborada por Hermandia (G-Carma Consulting, S.L.) · hermandia.es · 665 441 521